Wyjaśnienie błędu w Log4j

Na czym polega błąd w bibliotece Log4j2? Jak może wyglądać podatny kod? Do czego można wykorzystać tą podatność? Co zrobić i jak się ochronić? W tym filmie tłumaczę CVE-2021-44228 – błąd RCE w bibliotece Log4j.

0:00 Wstęp
0:46 Podstawy
2:06 Proste wyjaśnienie błędu
3:24 Gdzie można wysłać złośliwy tekst
4:21 Przykładowy podatny kod
5:37 Wykrycie błędu z użyciem Canary Tokens
6:48 Kradzież zmiennych środowiskowych
9:20 Metody zaciemniania ataku
10:21 Wykonanie zdalnego kodu na serwerze
13:22 RCE w nowszych wersjach Javy z wykorzystaniem deserializacji
15:45 LOG4J_FORMAT_MSG_NO_LOOKUPS
17:13 Problemy z wersją 2.15.0
17:59 Jak znaleźć i naprawić błąd
19:19 Podsumowanie
19:43 Newsletter

📬Darmowy kurs mailingowy: https://szurek.tv/kurs
📩Newsletter: https://szurek.tv/n
💬Facebook:   / od0dopentestera  
📷Instagram:   / kacper.szurek  
🐦Twitter:   / kacperszurek  
💬Discord: https://od0dopentestera.pl/discord

Źródła: https://security.szurek.pl/linki/20/
Canary Tokens: https://canarytokens.org/generate
Poradnik LunaSec: https://www.lunasec.io/docs/blog/log4...
Poradnik Cert: https://cert.pl/posts/2021/12/krytycz...
Lista podatnych produktów: https://gist.github.com/SwitHak/b66db...